پژوهشگران امنیت سایبری در مورد یک کمپین فعال هشدار داده‌اند که در آن عامل‌های تهدید (Threat Actors) ناشناس، با سوءاستفاده از اعتبارنامه‌های سرقت‌شده متعلق به سرویس ConnectWise Cloud Backup (که پیش‌تر با نام SkyKick شناخته می‌شد)، به محیط‌های Microsoft 365 (M365) مشتریان دسترسی غیرمجاز پیدا کرده‌اند.
مکانیسم حمله و سطح دسترسی
سرویس ConnectWise Cloud Backup یک راهکار پشتیبان‌گیری ابری برای ارائه‌دهندگان خدمات مدیریت شده (MSPs) است تا داده‌های M365 یا Google Workspace مشتریان خود را ایمن کنند. برای اجرای این وظایف، این اپلیکیشن دسترسی‌های گسترده‌ای به بخش‌های زیر در هر مستاجر (Tenant) دارد:
- صندوق‌های پستی (Mailboxes)
- OneDrive و SharePoint
- Microsoft Teams
- داده‌های دایرکتوری (Directory Data)
شرکت Huntress تایید کرده است که ورودهای غیرمجاز به ۱۷۳ مستاجر مشتری/شریک با استفاده از این اعتبارنامه‌های لو رفته صورت گرفته است. این حادثه تمامی سازمان‌هایی را که این اپلیکیشن را نصب کرده‌اند تحت تاثیر قرار می‌دهد، زیرا اعتبارنامه‌ی مذکور در تمامی محیط‌هایی که اپلیکیشن در آن‌ها مورد تایید (Consented) شده است، کار می‌کند.
تحلیل فنی تهاجم
تحقیقات نشان می‌دهد که مهاجمان از طریق یک اسکریپت و با استفاده از IP مشخص (144.172.64[.]128)، توکن‌های Microsoft Graph را برای مستاجران مختلف استخراج کرده‌اند. مهاجمان با استفاده از ابزارهای شخصی خود، مشابه عملکرد سرویس پشتیبان‌گیری، احراز هویت کرده و توکن‌هایی با مجوزهای موجود اپلیکیشن دریافت کرده‌اند که امکان خواندن ایمیل‌ها و فایل‌های حساس را فراهم می‌کند.
در یکی از موارد بحرانی‌تر، مشاهده شده است که یک اپلیکیشن مجزای ConnectWise، سطح دسترسی خود را به Global Administrator ارتقا داده و اعتبارنامه‌های جدیدی را به سایر اپلیکیشن‌های مورد اعتماد در محیط مشتری اضافه کرده است. این اقدام باعث گسترش ریسک به سایر ابزارهای مدیریتی و امنیتی در محیط مستاجر شده است.
اقدامات توصیه‌شده برای تیم‌های SOC و مدیران امنیت
شرکت ConnectWise دسترسی به اپلیکیشن Cloud Backup را تا اطلاع ثانوی مسدود کرده است. با این حال، برای مقابله با آثار احتمالی، اقدامات زیر توصیه می‌شود:
- غیرفعال‌سازی اپلیکیشن: تا زمانی که ConnectWise بازنشانی کامل اعتبارنامه‌ها را تایید کند، اپلیکیشن مذکور را در مستاجر خود غیرفعال کنید.
- بررسی لاگ‌ها: فعال‌سازی Microsoft Graph activity logs و بررسی دقیق Entra audit logs برای شناسایی هرگونه تغییر در نقش‌های دایرکتوری یا افزودن اعتبارنامه‌های جدید از تاریخ ۱۳ اکتبر ۲۰۲۶.
- مدیریت توکن‌ها: توجه داشته باشید که لغو نشست‌های کاربر (User Sessions) باعث توقف این دسترسی نمی‌شود و توکن‌های صادر شده تا ۹۰ دقیقه معتبر می‌مانند.
تهدیدات مرتبط: حمله زنجیره تامین AOMEI Backupper
به طور هم‌زمان، گزارش‌هایی از دستکاری در زیرساخت به‌روزرسانی نرم‌افزار AOMEI Backupper منتشر شده است. عامل تهدیدی با کد UNC7017 از تکنیک “دستکاری موقت زنجیره تامین” (Ephemeral Supply Chain Tampering) استفاده کرده است؛ به گونه‌ای که سرورهای اصلی تنها برای بازه‌های زمانی کوتاه (۵ تا ۱۰ دقیقه) تغییر می‌کردند تا بسته مخرب ZIP شامل بدافزارهای CROSSROAD و SHINYROAD را به کاربران تحویل دهند. این متد جدید برای دور زدن سیستم‌های دفاعی سنتی طراحی شده و سازمان‌های متعددی را در سراسر جهان هدف قرار داده است.
به‌روزرسانی (اکتبر 17, 2026 — Cybersecurity News)
به‌روزرسانی: تحلیل‌های تکمیلی نشان می‌دهد که عامل تهدید برای تضمین دسترسی طولانی‌مدت (Persistence)، از متدهای پیچیده‌تری فراتر از سوءاستفاده اولیه استفاده کرده است. بر اساس گزارش‌ها، مهاجمان با بهره‌گیری از اپلیکیشن ConnectWise Cloud Management – MS Teams (با Application ID: 24205314-2b89-4e07-a2a4-579e898a5640)، سطح دسترسی خود را به Global Administrator ارتقا داده‌اند.
نکته بحرانی این است که مهاجمان با اجرای اسکریپت‌های Python، کلیدهای دسترسی جدیدی (client secrets) را به سایر اپلیکیشن‌های مورد اعتماد (Trusted Apps) در محیط سازمان‌ها اضافه کرده‌اند. تاریخ انقضای این کلیدها تا سال ۲۰۲۸ تنظیم شده است؛ این بدان معناست که حتی در صورت غیرفعال کردن اپلیکیشن‌های ConnectWise، عامل تهدید همچنان می‌تواند از طریق سایر اپلیکیشن‌های مورد اعتماد که اکنون دارای Secretهای مخرب هستند، به محیط M365 بازگردد.
به منظور شناسایی کامل سرایت، تیم‌های SOC باید علاوه بر اپلیکیشن 506e08f9-6e9a-4da4-942b-a099a03644ae، تمامی ثبت‌های اپلیکیشن (App Registrations) را برای هرگونه تغییر در گواهینامه‌ها یا ایجاد Secretهای جدید از تاریخ ۱۳ اکتبر ۲۰۲۶ بررسی کنند. صرفاً غیرفعال کردن اپلیکیشن‌های اولیه برای پاکسازی کامل محیط کافی نیست.
